Ты разрабатываешь трёхуровневое приложение, которое обрабатывает и хранит защищённую медицинскую информацию. Требования безопасности и соответствия стандартам говорят, что нужно шифровать всю эту информацию в пути и в покое. Данные идут через load balancers, обрабатываются на EC2 instances с хранением на EBS volumes, а результаты сохраняются в S3 через AWS SDK. Какой из вариантов полностью удовлетворяет этим требованиям шифрования?

Защита защищённой медицинской информации (PHI) в трёхуровневой архитектуре AWS

Понимание требований

Когда ты разрабатываешь приложения, которые работают с защищённой медицинской информацией (PHI), ты должен реализовать шифрование в двух критических точках:

• Шифрование в пути (данные, движущиеся между компонентами)
• Шифрование в покое (данные, хранящиеся на серверах и сервисах хранения)

Правильная реализация безопасности

Второй вариант — правильный подход для соответствия требованиям соответствия нормативам:

Конфигурация Load Balancer

• SSL-терминация на load balancer'ах — это шифрует весь входящий трафик от клиентов до уровня приложения
• Избегай TCP load balancing без шифрования, так как это оставляет данные незашифрованными в пути

Защита EC2-инстансов

• SSL-листенер на EC2-инстансах обеспечивает дополнительное шифрование между load balancer'ом и серверами приложений
• Это гарантирует зашифрованное взаимодействие по всему сетевому пути
• Не полагайся только на шифрование диска на уровне ОС — это защищает только от физического доступа к диску

Шифрование EBS-томов

• Шифрование Amazon EBS должно быть включено на всех томах, хранящих PHI
• Это шифрует данные в покое на уровне хранилища
• Шифрование EBS лучше, чем шифрование на уровне ОС, потому что оно применяется прозрачно и единообразно

Безопасность хранилища S3

• Шифрование на стороне сервера на бакетах Amazon S3 шифрует все сохранённые объекты
• Это замыкает цепочку безопасности для данных в покое

Итого

Соответствующая нормативам архитектура требует:

1. SSL-терминации на уровне load balancer'а
2. SSL-листенеров на EC2-инстансах для сквозного шифрования
3. Шифрования EBS на томах, содержащих PHI
4. Шифрования на стороне сервера на S3-бакетах

Такой многоуровневый подход гарантирует, что PHI остаётся зашифрованной на протяжении всего её жизненного цикла, удовлетворяя как требованиям безопасности, так и нормативным требованиям.